Как хакерите промениха правилата на играта през 2025 година

През 2025 година киберпрестъпниците увеличиха драстично скоростта си и все по-често се справяха без зловреден софтуер, маскирайки атаките като нормални системни операции. Това е изводът, до който CrowdStrike е стигнала в доклада си „Global Threat Report 2026„, в който изрично нарича миналата година „годината на уклончивия противник“.

Според компанията нападателите са станали по-активни в използването на доверени акаунти, легитимни услуги и вътрешни инструменти, което прави все по-трудно разграничаването на атаките от нормалната дейност.

Едно от най-забележителните числа в доклада увеличението с 89% на на атаките с изкуствен интелект в сравнение с 2024 година. Авторите пишат, че подобни инструменти са ускорили фишинга, разузнаването и подготовката на операции. В същото време често не става въпрос за принципно нови техники, а за ускоряване на познати схеми. В доклада се отбелязва, че нападателите използват AI за социален инженеринг, превод на примамки на подходящи езици, писане на скриптове и дори помощ при пост-експлоатация след хакване.

Скоростта на атаките се е увеличила до степен, в която защитниците имат все по-малко време за реакция. В сегмента на електронните престъпления средното време, за което нападателят успява да премине отвъд първоначално компрометираната машина е спаднало до 29 минути, а най-бързият регистриран инцидент е отнел само 27 секунди. При един инцидент опитът за извеждане на данни е започнал четири минути след първоначалния достъп.

Друга важна промяна е, че атаките все по-често протичат без участието на класически зловреден софтуер.

CrowdStrike съобщава, че 82% от откритите случаи през 2025 година са били „без зловреден софтуер“ в този смисъл: нападателите са действали чрез легитимни идентификационни данни, надеждни потоци за удостоверяване, одобрени интеграции на облачни услуги и елементи от веригата за доставка на софтуер. Това се вписва добре в по-широката картина, където достъпът и доверието, а не файловият зловреден софтуер се превръщат в основен инструмент.

В облачната среда натискът също се е увеличил. Според доклада броят на проникванията с ясно изразен фокус върху облачната инфраструктура се е увеличил с 37%, като сред свързаните с държавите групи увеличението е 266%. В 35% от инцидентите в облака ключова роля е изиграла злоупотребата с валидни акаунти. Авторите отделно подчертават, че атакуването на идентичността и достъпа се е превърнало в основна част от съвременните инциденти.

На този фон се е увеличило и използването на уязвимостите от типа „нулев ден“, преди те да бъдат публично разкрити.

CrowdStrike регистрира 42% увеличение на годишна база. В доклада се посочва също, че свързаните с Китай нападатели са увеличили активността си с 38%, а в 67% от използваните от тях уязвимости недостатъкът е давал незабавен достъп до системата. 40% от тези уязвимости са били в крайни устройства, достъпни от интернет, включително мрежово оборудване. Авторите отбелязват, че новите уязвимости често са били превръщани в работещи инструменти за атаки в рамките на няколко дни.

Отделно направление в доклада е нарастването на атаките срещу веригите за доставка на софтуер. CrowdStrike описва случаи, при които нападателите не са се насочвали директно към крайната организация, а са прониквали нагоре по веригата – в доставчици, среди за разработка и публични хранилища на код. Този подход позволява достъпът да се разпространява по-тихо и по-широко. В документа се споменава и за голям инцидент с кражба на криптовалута чрез подправен софтуер, доставен чрез компрометиране на веригата на доставки.

Ако можем да сведем констатациите на доклада до една мисъл, основният проблем вече не е само броят на атаките, а това колко бързо и незабележимо те преминават през доверени канали. Нападателите все по-често използват това, на което компаниите са се доверили – акаунти, облачни услуги, вградени инструменти и партньорства. И затова прозорецът за откриване и спиране на прониквания продължава да се стеснява.